Aucune clé volée, $351 millions en une heure — l'intrusion dans le hot wallet de Bitget et la frontière de confiance du flux d'approbation
Bitget a confirmé le 25 septembre qu'environ $351.6 millions avaient quitté des portions de ses hot wallets et warm wallets dans des transferts non autorisés détectés à 18:31 UTC le 24 septembre. Ses cold wallets hors ligne sont signalés comme non affectés, les retraits sont en pause, et l'exchange déclare que son User Protection Fund de $464 millions couvre l'intégralité de la perte. Selon Bitget, l'attaquant n'a pas pris les clés privées, mais a atteint un système backend et a falsifié des données de transaction pour orienter le flux d'approbation vers la libération de fonds. Nous examinons la question de l'attribution à Lazarus et l'isomorphisme avec le thème du plan de gestion et d'identité que cet observatoire a traité ces dernières semaines.
Cet article a été traduit par une machine.
Le 24 septembre 2026 à 18:31 UTC, les systèmes de sécurité de Bitget ont signalé des transferts non autorisés depuis une portion de ses hot wallets, et des procédures de réponse d'urgence ont été activées dans les minutes qui ont suivi. Le 25, la CEO Gracy Chen a déclaré publiquement que les actifs affectés totalisent environ $351.6 millions. La structure de wallets de Bitget est à trois niveaux (hot / warm / cold) ; selon l'exchange, l'intrusion est limitée à des parties des couches hot et warm et n'a pas atteint les cold wallets hors ligne, et les soldes des comptes des clients restent cohérents avec leurs avoirs. Les retraits sont temporairement suspendus tandis que le trading et les dépôts continuent. L'exchange rapporte qu'il a identifié et signalé les adresses des destinataires, notifié les services de détection et de répression, et fait appel à des sociétés de sécurité blockchain pour tracer les fonds, et qu'un rapport d'incident complet — couvrant la cause racine et les étapes correctives — suivrait dans les 24 heures suivant l'avis initial (selon la déclaration de Gracy Chen sur X, l'avis de sécurité officiel de Bitget, Cryptopotato, InvestingLive et CyberSecurityNews).
Sur le chemin d'attaque, le récit de Bitget est que l'attaquant a atteint un système backend à l'intérieur de son infrastructure de wallets, a falsifié des données de transaction et a ainsi orienté le processus d'approbation vers la libération de fonds. Autrement dit, selon l'exchange, il ne s'agit pas d'une fuite des clés privées qui contrôlent les wallets eux-mêmes. Les premières estimations de chercheurs on-chain (des analystes tels qu'Arkham Intelligence) s'établissaient à $174M–$183M, environ la moitié du chiffre confirmé ; des observateurs on-chain ont suivi des mouvements impliquant ETH, BNB, AVAX, USDT et USDC. Une transaction notable, rapportée par Decrypt : un wallet nouvellement créé a échangé environ $19.7M d'USDT0 (la version inter-chaînes de Tether) contre 7,111 ETH en environ six minutes, en payant jusqu'à 5% au-dessus du prix du marché pour faire aboutir l'échange rapidement. Le User Protection Fund de l'exchange détient $464M, un montant qui dépasse la perte, et Bitget s'est engagé à couvrir l'intégralité du montant à partir de ce fonds. TFTC note que la composition d'actifs du fonds n'a pas été vérifiée de façon indépendante.
Sur l'attribution : l'enquêteur on-chain Specter a affirmé que le Lazarus Group lié à la Corée du Nord est derrière l'attaque, et HackRead a rapporté que Bitget soupçonne l'implication du groupe, tandis que Bitget a, de son côté, refusé une attribution formelle, selon des informations indiquant qu'elle « a refusé de spéculer ». Il convient de caractériser l'attribution actuelle comme une « suspicion », et non comme une « attribution ». À titre de contexte, il est rapporté que des groupes affiliés à Lazarus ont été impliqués dans beaucoup des plus grandes intrusions d'exchanges de ces dernières années — les $1.5B de Bybit en février 2025 (le FBI l'a attribué à Lazarus), les ~$308M de DMM Bitcoin et les ~$234.9M de WazirX en 2024. Selon Chainalysis, les vols de crypto en 2025 ont totalisé $3.4B, dont $2.02B (plus de 60%) ont été estimés liés à la Corée du Nord. Rien qu'au premier semestre 2026, $1.1B a été pris à travers 212 incidents, une majorité attribuée au Lazarus Group. La dispersion multi-chaînes rapide de cet incident, la conversion immédiate en ETH et l'entrée par un système interne sans fuite de clé correspondent à des signatures opérationnelles de groupes liés à un État — mais la similarité de technique n'est pas une preuve d'identité.
Analyse (séparée des faits) : ce qui importe, c'est que « les clés n'ont pas été volées » n'est pas nécessairement une bonne issue. Selon le récit de Bitget, l'attaquant n'a pas pris les clés de signature, mais a atteint le système backend qui alimente le processus d'approbation en données, et a falsifié des données de transaction. Ce qui a été rompu n'est pas la frontière cryptographique (les clés), mais la frontière de confiance (la source d'information de la décision d'approbation). Cela est isomorphe au thème du « plan de gestion et d'identité » que cet observatoire a traité au cours des deux dernières semaines — le zero-day OAuth de F5 BIG-IP APM (RCE non authentifiée du côté émetteur de l'identité), le contournement d'authentification de l'API de gestion de Cisco ISE (CVSS 10.0), et l'atteinte de root par Secure Email Gateway via le code de parsing — tous partageant la structure : lorsque le plan qui prend lui-même la décision est capturé, la décision ne peut plus être tenue pour digne de confiance. Le flux d'approbation de l'infrastructure de wallets est précisément un tel plan de décision ; l'intégrité des soldes et des données de transaction qui lui sont fournis, ainsi que l'autorité des systèmes internes qui peuvent créer ou modifier des demandes de retrait, définissent la frontière de confiance. Le rapport à 24 heures, s'il montre quel système backend a été compromis, à quels approbateurs les données falsifiées sont apparues, et si une approbation en plusieurs étapes pouvait distinguer « le chemin des données falsifiées » d'une « demande authentique », rendra le point de défaillance plus concret. D'ici là, il convient de modéliser la défaillance comme une « compromission du chemin des données vers le processus d'approbation ».
Implications défensives : (1) Les opérations qui détiennent des actifs on-chain devraient traiter le pipeline d'approbation lui-même comme une frontière de confiance de premier ordre — non seulement la garde des clés, mais la provenance des données de transaction (authentification/attestation au niveau de la couche API, vues de données indépendantes par approbateur, multi-signature avec des vues indépendantes) comme exigence de conception. (2) Fixer ensemble la vélocité des retraits et les plafonds par chaîne, et surveiller les anomalies on-chain (vitesse d'échange anormale, spread anormal par rapport au prix du marché) comme signaux de triage en temps réel — le passage USDT0 → ETH de cet incident en ~6 minutes avec une prime allant jusqu'à 5% est exactement ce type de signal. (3) Parce que la dispersion multi-chaînes affaiblit les effets de gel, convenir à l'avance de canaux de gel et de traçage avec les contreparties de bridges et de DEX. (4) La suspension des retraits, la divulgation rapide et l'engagement de compensation limitent les dommages secondaires — mais la compensation n'est solide qu'à hauteur de la vérifiabilité indépendante de la taille du fonds et de sa composition d'actifs ; il faut donc maintenir cette vérifiabilité au jour le jour. Les faits ici s'appuient sur la déclaration de Gracy Chen sur X (https://x.com/GracyBitget/status/2103235655879074084), l'avis de sécurité officiel de Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/) et HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). L'analyse est tenue séparée du compte rendu.